CVE-2019-0541

Falha de validação inadequada de entrada no motor MSHTML do Windows (CWE-77 segundo a CISA), que afeta Internet Explorer 9/10/11 e componentes do Microsoft Office (Word Viewer, Excel Viewer, Office 365 ProPlus) que reutilizam esse motor para renderizar HTML. Permite execução remota de código quando a vítima abre ou edita um documento HTML/XHTML malicioso. Está no catálogo KEV da CISA com exploração confirmada, mas o vetor prático documentado publicamente é mais próximo de execução local/via compartilhamento de rede do que de um ataque puramente remoto via browsing casual.

O MSHTML (mshtml.dll) é o motor de renderização HTML usado tanto pelo Internet Explorer quanto por componentes do Office que abrem ou editam conteúdo HTML (por exemplo, a ferramenta de edição de HTML do Office, msohtmed.exe, e os visualizadores de Word/Excel). A vulnerabilidade decorre de validação inadequada de entrada ao processar documentos HTML/XHTML especialmente formatados, especificamente envolvendo a tag meta com atributo http-equiv/ProgId.

O mecanismo documentado publicamente explora a tag 'meta' com o atributo 'ProgId' setado para um identificador de programa de escolha do atacante (como 'HTAFILE'). O MSHTML, ao processar esse ProgId durante uma operação de edição do documento, falha em validar corretamente o valor, permitindo que o conteúdo seja interpretado por um handler diferente do esperado — de forma análoga às antigas vulnerabilidades de ClassID do Windows Shell/Internet Explorer que afetavam Windows 98/2000/XP.

O atacante controla o conteúdo do documento HTML/XHTML entregue à vítima, incluindo a tag meta manipulada e o ProgId alvo. O resultado, segundo o advisory da Microsoft, é execução de código no contexto do usuário que abre o documento.

O vetor de exploração descrito por pesquisadores (PoC público no Exploit-DB, ID 46536) não é o clássico 'visitar uma página no IE': o gatilho ocorre quando o usuário escolhe a opção 'Editar' em um arquivo HTML/XHTML malicioso — ação disponível em algumas versões do Office que adicionam um item de menu 'Edit' para arquivos html/xhtml, acionando o msohtmed.exe (o editor de HTML do Office) ou o próprio IE. Isso torna a exploração viável tanto localmente quanto remotamente através de compartilhamentos de rede (SMB), onde a vítima abre um arquivo de um share malicioso e opta por editá-lo em vez de apenas visualizá-lo.

A complexidade de exploração é baixa (AC:L no vetor CVSS), mas exige interação do usuário (UI:R) — a vítima precisa abrir/editar o arquivo malicioso, não basta receber um link. Não há necessidade de autenticação prévia (PR:N). Em sistemas totalmente corrigidos até dezembro de 2018 (conforme testado pelo autor do PoC), o arquivo malicioso abre no Notepad em vez de acionar o comportamento vulnerável, evidenciando que o patch de janeiro de 2019 mitiga o vetor.

A CISA lista exploração confirmada no catálogo KEV (adicionada em novembro de 2021), mas sem indicar campanhas específicas ou uso em ransomware ('Known To Be Used in Ransomware Campaigns: Unknown'). O prazo de correção definido pela CISA para agências federais dos EUA foi 2022-05-03.

A correção oficial veio via atualização de segurança da Microsoft de janeiro de 2019, distribuída através do Windows Update / Microsoft Update para as versões afetadas do Internet Explorer (9, 10, 11) e para os componentes do Office listados (Word Viewer, Excel Viewer, Office 365 ProPlus). Não temos aqui os números de KB específicos por sistema operacional/versão do Office — para aplicar o patch correto, consulte o advisory da Microsoft (MSRC) vinculado ao CVE-2019-0541 e confirme o KB correspondente à sua versão exata de Windows/Office antes de considerar o ambiente corrigido.

Como paliativo quando a atualização não pode ser aplicada imediatamente: restringir ou desabilitar a opção de 'Editar' arquivos HTML/XHTML a partir do Office (reduz a superfície do vetor documentado) e bloquear/restringir acesso a compartilhamentos SMB não confiáveis, já que o vetor prático combina abertura de arquivo remoto com a ação de edição. Isolar ou desabilitar o Internet Explorer como motor de renderização padrão para documentos também reduz exposição, mas não elimina o problema em componentes do Office que embutem o MSHTML.

Não existe mitigação eficaz apenas por educação de usuário sobre 'não clicar em links suspeitos' — o gatilho depende da ação de edição do arquivo, não de navegação simples, então o controle mais efetivo é técnico (patch, restrição de SMB, desabilitação da função de edição) e não comportamental.

Não há assinatura de detecção pública amplamente documentada nas fontes consultadas. Como indicador de tentativa de exploração, monitore aberturas de arquivos HTML/XHTML contendo a tag meta com atributo 'ProgId' apontando para handlers incomuns (ex.: 'HTAFILE') vindos de compartilhamentos de rede ou anexos, especialmente seguidos da invocação do editor de HTML do Office (msohtmed.exe) ou do mecanismo mshtml.dll fora do contexto normal de navegação. Na ausência de assinatura oficial de IDS/AV vinculada ao CVE, a defesa prática depende mais de patch e de restringir a superfície (edição de HTML, acesso SMB não confiável) do que de detecção de tentativas em tempo real.